(1)shiro简介和第一个demo

之前一直在用shiro开发，不过只是会使用，并没有深入了解，最近有时间学习了一下，把最近学习所得分享一下。

shiro简介

Apache Shiro是一个强大且易用的Java安全框架,执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API,您可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序，

相比于spring security更加的简洁和使用方便了。

三个核心组件

组件看不懂可以先把demo跑起来，然后回头再看，慢慢的体会就明白了。

Subject：代表了当前访问系统的用户，不一定是人，也可以是爬虫等其他东西。

SecurityManager：安全管理器，是shiro框架的核心。管理者subject，session等。

Realms：可以看成是一个权限的数据源，用户登录认证和授权都是通过realm来进行的，可以设置多个realm。

第一个demo

添加pom文件

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.2.2</version>
</dependency>

在classpath下新增一个shiro.ini文件。文件内容如下：（意思就是在这个系统中存在zhang这个用户，密码是123，后期会用存储在数据库中的账户密码，这里方便测试和讲解。。）

[users]
zhang=123

测试代码：

        Factory<SecurityManager> factory =new IniSecurityManagerFactory("classpath:shiro.ini");
        //得到安全管理器
        SecurityManager securityManager = factory.getInstance();

        SecurityUtils.setSecurityManager(securityManager);

        Subject subject = SecurityUtils.getSubject();

        UsernamePasswordToken token = new UsernamePasswordToken("zhang", "123");

        try {
            subject.login(token);
        } catch (AuthenticationException e) {
            e.printStackTrace();
        }
        System.out.println(subject.isAuthenticated());
        subject.logout();

        System.out.println(subject.isAuthenticated());

最后输出

true
false。

1首先通过IniSecurityManagerFactory和shiro.ini文件生成一个SecurityManager工厂。

2获得该工厂的实例并托管给SecurityUtils这个类，其实就是放在了SecurityUtils这个类的一个static变量中，下面操作的底层还是SecurityManager里面的方法。

3通过SecurityUtils得到一个主体对象，此时这个对象里面是没有数据的，也没有通过认证和授权，在SecurityUtils.getSubject获取的同时将当这个subject绑定到了当前线程里面。（如果你再getSubject也是该subject）

4创建一个token绑定用户名和密码。然后调用subject.login进行登录（其实就是调用了SecurityManager进行认证和授权）

shiro核心架构图：